Wir lassen inkasso.live regelmäßig gezielt angreifen – autorisiert, auf einer Instanz, die der Produktivumgebung entspricht, damit Ihre Daten dabei nie berührt werden. Jeder Durchgang fällt härter aus als der vorige.
Was geprüft wird
- Anmeldung: Passwort-Raten mit wechselnden Absenderadressen, Kontenerkennung über Antwortzeiten, Wiederherstellung von Zugängen und Sitzungen.
- Rechte und Mandantentrennung: Kommt ein Konto an Daten einer fremden Organisation oder an Funktionen, für die ihm die Rolle fehlt? Wir prüfen das auch mit absichtlich „entwendeten“ Zugangsdaten und Sitzungen.
- Schnittstellen: manipulierte und übergroße Anfragen, eingeschleuste Steuerzeichen, Pfadmanipulation, Fehlermeldungen, die zu viel verraten.
- Verbindung und Auslieferung: Verschlüsselung (nur aktuelle TLS-Versionen), Sicherheits-Header, keine öffentlich lesbaren Quelltexte oder internen Schnittstellenbeschreibungen.
- Belastbarkeit: Verbindungsfluten, absichtlich langsame Clients und Lastspitzen – der Dienst muss erreichbar bleiben und sich selbst erholen.
- Bekannte Schwachstellen: automatisierte Scans mit mehreren tausend Prüfmustern sowie die Überwachung aller eingesetzten Bibliotheken.
Was mit einem Befund passiert
Jeder Befund wird als Fehler erfasst und mit höchster Priorität behoben – genauso wie ein Fehler, den Anwender direkt sehen oder der Daten verfälschen könnte. Er wartet also nicht auf ein späteres Release, sondern geht mit der nächsten Aktualisierung in den Betrieb. Behobene Befunde überführen wir in automatische Tests, die bei künftigen Änderungen erneut laufen – damit eine geschlossene Lücke nicht unbemerkt zurückkehrt.
Mehr zu unseren technischen und organisatorischen Maßnahmen finden Sie auf der Seite Sicherheit.